Software-Defined Networking (SDN) switches typically have limited ternary content addressable memory (TCAM) that caches the flow entries on the data plane. The scarcity and strong resource competitiveness of TCAM space put the flow tables at the risk of malicious Distributed Denial-of-Service (DDoS) attacks. In this paper, we propose LtRFT, a Learning-To-Rank (LtR) based scheme for mitigating the low-rate DDoS attacks targeted at flow tables. LtRFT consists of three modules: monitor, ranker, and mitigator. Monitor manages the flow table status and sends alerts to other modules after detecting attacks. Ranker models the attack mitigation problem as a flow entry ranking task, and ranks malicious flows with a high eviction priority using a pairwise-based LtR algorithm. The mitigator frees up the flow table space by deleting malicious flow entries according to the flow entry ranking sequence generated by ranker. We introduce LtR to network attack detection innovatively and use both classification and information retrieval metrics to describe and evaluate LtRFT. Extensive experiments were conducted to validate the effectiveness and robustness of LtRFT in detecting and mitigating the low-rate data plane DDoS attacks. LtRFT can detect malicious attack flows with an accuracy of over 96%, and can reduce the attack flow duration by 97.7% with an average extra latency of 0.5 seconds, which proves that LtRFT is practicable in SDN deployments.

中文翻译：

---

LtRFT：使用支持排序学习的流表缓解低速率数据平面 DDoS 攻击

软件定义网络 (SDN) 交换机通常具有有限的三元内容可寻址内存 (TCAM)，用于缓存数据平面上的流条目。TCAM空间的稀缺性和强大的资源竞争力使流表面临恶意分布式拒绝服务（DDoS）攻击的风险。在本文中，我们提出了 LtRFT，这是一种基于学习排序 (LtR) 的方案，用于减轻针对流表的低速率 DDoS 攻击。LtRFT 由三个模块组成：monitor、ranker 和 mitigator。Monitor 管理流表状态，并在检测到攻击后向其他模块发送警报。Ranker 将攻击缓解问题建模为流条目排序任务，并使用基于成对的 LtR 算法对具有高驱逐优先级的恶意流进行排序。缓解器根据ranker生成的流表项排序顺序，通过删除恶意流表项来释放流表空间。我们创新地将 LtR 引入网络攻击检测，并使用分类和信息检索指标来描述和评估 LtRFT。进行了大量实验以验证 LtRFT 在检测和缓解低速率数据平面 DDoS 攻击方面的有效性和稳健性。LtRFT检测恶意攻击流的准确率超过96%，攻击流持续时间减少97.7%，平均额外延迟0.5秒，证明了LtRFT在SDN部署中的可行性。我们创新地将 LtR 引入网络攻击检测，并使用分类和信息检索指标来描述和评估 LtRFT。进行了大量实验以验证 LtRFT 在检测和缓解低速率数据平面 DDoS 攻击方面的有效性和稳健性。LtRFT检测恶意攻击流的准确率超过96%，攻击流持续时间减少97.7%，平均额外延迟0.5秒，证明了LtRFT在SDN部署中的可行性。我们创新地将 LtR 引入网络攻击检测，并使用分类和信息检索指标来描述和评估 LtRFT。进行了大量实验以验证 LtRFT 在检测和缓解低速率数据平面 DDoS 攻击方面的有效性和稳健性。LtRFT检测恶意攻击流的准确率超过96%，攻击流持续时间减少97.7%，平均额外延迟0.5秒，证明了LtRFT在SDN部署中的可行性。